- Yama var
- Son 7 gün
- CWE-862
CVE-2026-117469
Psono Server dosya aktarım türü karışıklığı yetkisiz depo yazmasına izin veriyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- esaqa
Yönetici özeti
Bu açık, parola yöneticisi üzerinde dosya saklayan kullanıcıların verilerinin değiştirilmesine yol açabilir. Saldırı için sisteme giriş yapmış ve dosyalara yalnızca okuma erişimi olan bir kullanıcı yeterlidir. Bu nedenle sistemin hızla güncellenmesi önerilir.
ÖzetTürkçe
Psono Server (CE ve EE) sürüm 1.0.0 ile 7.2.3 arasında, dosya aktarım kimlik bilgilerinin yönünü dosya deposu işlemlerinde denetlemiyordu. Yalnızca okuma yetkisine sahip kimliği doğrulanmış bir saldırgan, indirme amaçlı aktarımı yükleme uç noktasına sunarak saldırganın seçtiği nesne anahtarı için imzalı yükleme adresi elde edebilir ve dosya sahibinin dosyasına parça ekleyebilir. Etkilenen kurulumlar, esaqa GmbH tarafından geliştirilen Psono Server'ın 7.2.4 öncesi sürümleridir.
Saldırgan ne yapabilir?
Saldırgan depodaki nesneleri yükleyebilir veya üzerine yazabilir ve aktarım boyutu, parça sayısı ve geçerlilik süresi sınırları dahilinde depolama alanını tüketebilir.
Kaynaktaki açıklama (İngilizce)
Psono Server (CE & EE) versions 1.0.0 through 7.2.3 did not enforce the direction of file-transfer credentials on file-repository operations. An authenticated remote attacker with read-only access to a file could present a download transfer to the upload endpoint, obtain a signed upload URL for an attacker-selected object key, and append a chunk to the owner's file. Exploitation could upload or overwrite repository objects and consume storage, subject to transfer size, chunk-count, and lifetime limits.
Üreticinin çözüm notu (İngilizce)
Upgrade to Psono Server 7.2.4 or later.
Ne yapmalı?
- Psono Server'ı 7.2.4 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme öncesinde ve sonrasında dosya deposundaki nesnelerde beklenmeyen değişiklik, yeni nesne veya olağandışı depolama kullanımı olup olmadığını inceleyin. Genel öneri
- Güncelleme tamamlanana kadar dosya yükleme ve indirme işlevlerine erişimi yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
Ek önlemler
- Dosya deposu için yedek alın ve yedeklerin bütünlüğünü düzenli olarak doğrulayın. Genel öneri
- Kullanıcıların dosya ve depolama kullanım oranlarını izleyerek ani artışları ve tutarsız değişiklikleri takip edin. Genel öneri
- Kullanıcı hesaplarının yetkilerini en az ayrıcalık ilkesine göre düzenli olarak gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| esaqa GmbH Psono | ≥ 1.0.0, < 7.2.4 | 7.2.4 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- gitlab.com/…es/-/blob/master/advisories/CVE-2026-117469.md Üretici bülteni
- gitlab.com/…ommit/64753b19bd8d03cfbed20db575f4dccb220d9ca4 Yama
- gitlab.com/…/restapi/serializers/file_repository_upload.py Diğer
- gitlab.com/esaqa/psono/psono-server/-/releases/v7.2.4 Diğer
- gitlab.com/esaqa/psono/psono-server Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.